CVE-2026-55164 in Lemur
Riassunto
di VulDB • 18/08/2026
Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.2, lemur.users.service.update assegnava una password di sostituzione direttamente al campo users.password, mentre il file lemur/users/models.py registrava User.hash_password solo per l'evento before_insert. Poiché non era presente un listener for the evento before_update, le modifiche alla password initiate dall'amministratore tramite PUT /api/1/users/ venivano salvate in chiaro (plaintext). L'utente interessato non poteva più autenticarsi normalmente poiché la verifica bcrypt riceveva un valore non hashato. Un compromissione del database, dei backup, delle repliche, dei log di query o letture amministrative esponeva immediatamente credenziali utilizzabili senza necessità di cracking offline. La correzione registra l'hashing per before_update ed evita il re-hash di valori che hanno già un prefisso bcrypt. Questo problema è risolto nella versione 1.9.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.